Плагин «Календарь событий» для WordPress уязвим к несанкционированному изменению данных и потере данных из-за неправильной проверки возможностей функций «can_edit» и «can_delete» во всех версиях до 6.15.16 включительно. Это позволяет аутентифицированным злоумышленникам с доступом на уровне участника и выше обновлять или удалять события, организаторов и места проведения через REST API.
Показать оригинальное описание (EN)
The The Events Calendar plugin for WordPress is vulnerable to unauthorized modification of data and loss of data due to an improper capability check on the 'can_edit' and 'can_delete' function in all versions up to, and including, 6.15.16. This makes it possible for authenticated attackers, with Contributor-level access and above, to update or trash events, organizers and venues via REST API.
Характеристики атаки
Последствия
Строка CVSS v3.1